一、firewall介绍
CentOS 7中防火墙是一个非常的强大的功能，在CentOS 6.5中在iptables防火墙中进行了升级了。
Firewalld 提供了支持网络/防火墙区域(zone)定义网络链接以及接口安全等级的动态防火墙管理工具。它支持 IPv4, IPv6 防火墙设置以及以太网桥接，并且拥有运行时配置和永久配置选项。它也支持允许服务或者应用程序直接添加防火墙规则的接口。 以前的 system-config-firewall/lokkit 防火墙模型是静态的，每次修改都要求防火墙完全重启。这个过程包括内核 netfilter 防火墙模块的卸载和新配置所需模块的装载等。而模块的卸载将会破坏状态防火墙和确立的连接。
相反，firewall daemon 动态管理防火墙，不需要重启整个防火墙便可应用更改。因而也就没有必要重载所有内核防火墙模块了。不过，要使用 firewall daemon 就要求防火墙的所有变更都要通过该守护进程来实现，以确保守护进程中的状态和内核里的防火墙是一致的。另外，firewall daemon 无法解析由 ip*tables 和 ebtables 命令行工具添加的防火墙规则。
1、什么是区域Zone：
网络区域定义了网络连接的可信等级。这是一个 一对多的关系，这意味着一次连接可以仅仅是一个区域的一部分，而一个区域可以用于很多连接。
2、哪个区域可用
由firewalld 提供的区域按照从不信任到信任的顺序排序。
3、区域的分类
预定义的服务
服务是端口和/或协议入口的组合。备选内容包括 netfilter 助手模块以及 IPv4、IPv6地址。
端口和协议
定义了 tcp 或 udp 端口，端口可以是一个端口或者端口范围。
ICMP阻塞
可以选择 Internet 控制报文协议的报文。这些报文可以是信息请求亦可是对信息请求或错误条件创建的响应。
伪装
私有网络地址可以被映射到公开的IP地址。这是一次正规的地址转换。
端口转发
端口可以映射到另一个端口以及/或者其他主机。
哪个区域可用?
由firewalld 提供的区域按照从不信任到信任的顺序排序。
丢弃
任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。
阻塞
任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。
公开
用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。（You do not trust the other computers on networks to not harm your computer. Onlyselected incoming connections are accepted.）
外部
用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。
隔离区（dmz）
用以允许隔离区（dmz）中的电脑有限地被外界网络访问。只接受被选中的连接。
工作
用在工作网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
家庭
用在家庭网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
内部
用在内部网络。你信任网络中的大多数计算机不会影响你的计算机。只接受被选中的连接。
受信任的
允许所有网络连接。
我应该选用哪个区域?
例如，公共的 WIFI 连接应该主要为不受信任的，家庭的有线网络应该是相当可信任的。根据与你使用的网络最符合的区域进行选择。
如何配置或者增加区域?
你可以使用任何一种 firewalld 配置工具来配置或者增加区域，以及修改配置。工具有例如 firewall-config 这样的图形界面工具， firewall-cmd 这样的命令行工具，以及D-BUS接口。或者你也可以在配置文件目录中创建或者拷贝区域文件。 @PREFIX@/lib/firewalld/zones 被用于默认和备用配置，/etc/firewalld/zones 被用于用户创建和自定义配置文件。
如何为网络连接设置或者修改区域
区域设置以 ZONE= 选项 存储在网络连接的ifcfg文件中。如果这个选项缺失或者为空，firewalld 将使用配置的默认区域。
如果这个连接受到 NetworkManager 控制，你也可以使用 nm-connection-editor 来修改区域。
由NetworkManager控制的网络连接
防火墙不能够通过 NetworkManager 显示的名称来配置网络连接，只能配置网络接口。因此在网络连接之前 NetworkManager 将配置文件所述连接对应的网络接口告诉 firewalld 。如果在配置文件中没有配置区域，接口将配置到 firewalld 的默认区域。如果网络连接使用了不止一个接口，所有的接口都会应用到 fiwewalld。接口名称的改变也将由 NetworkManager 控制并应用到firewalld。
为了简化，自此，网络连接将被用作与区域的关系。
如果一个接口断开了，NetworkManager也将告诉firewalld从区域中删除该接口。
当firewalld由systemd或者init脚本启动或者重启后，firewalld将通知NetworkManager把网络连接增加到区域。
由脚本控制的网络
对于由网络脚本控制的连接有一条限制：没有守护进程通知 firewalld 将连接增加到区域。这项工作仅在 ifcfg-post 脚本进行。因此，此后对网络连接的重命名将不能被应用到firewalld。同样，在连接活动时重启 firewalld 将导致与其失去关联。现在有意修复此情况。最简单的是将全部未配置连接加入默认区域。
区域定义了本区域中防火墙的特性：
使用firewalld
你可以通过图形界面工具 firewall-config 或者命令行客户端 firewall-cmd 启用或者关闭防火墙特性。
二、firewall配置
The configuration for firewalld is stored in various XML files in /usr/lib/firewalld/ and /etc/firewalld/.
This allows a great deal of flexibility as the files can be edited, written to, backed up, used as templates for other installations and so on.
注意：以下firewalld 的操作只有重启之后才有效：service firewalld restart 重启
1、系统配置目录
/usr/lib/firewalld/services
目录中存放定义好的网络服务和端口参数，系统参数，不要修改。
2、用户配置目录
/etc/firewalld/
3、如何自定义添加端口
用户可以通过修改配置文件的方式添加端口，也可以通过命令的方式添加端口，注意，修改的内容会在/etc/firewalld/ 目录下的配置文件中还体现。
3.1、命令的方式添加端口
firewall-cmd --permanent --add-port=9527/tcp
参数介绍：
设置参数意义解释
1、firwall-cmd：是Linux系统提供给用户进行操作Firewall的一个工具；
2、–permanent：表示设置为持久；
3、–add-port：标识将要添加的端口，用于增添Firewall 防火墙的开放端口
另外，firewall中有Zone的概念，可以将具体的端口制定到具体的zone配置文件中。
例如：添加8080端口
firewall-cmd --zone=public --add-port=8080/tcp --permanent
--zone=public：指定的zone为public；
如果–zone=dmz 这样设置的话，会在dmz.xml文件中新增一条。
A. 实现一般访问需要开放 80/tcp 端口
firewall-cmd --zone=public --add-port=80/tcp --permanent
B. 实现SSH访问需要开放 22/tcp 端口
firewall-cmd --zone=public --add-port=22/tcp --permanent
C. 实现SSL证书部署需要开放 443/tcp 端口
firewall-cmd --zone=public --add-port=443/tcp --permanent
D. 实现一般访问远程访问MySQL需要开放 3306/tcp 端口
firewall-cmd --zone=public --add-port=3306/tcp --permanent
（此端口不使用时不建议开启）
3.2、修改配置文件的方式添加端口
<?xml version="1.0" encoding="utf-8"?>
<zone>
<short>Public</short>
<description>For use in public areas.</description>
<rule family="ipv4">
<source address="192.168.10.70"/>
<port protocol="udp" port="514"/>
<accept/>
</rule>
<rule family="ipv4">
<source address="192.168.10.70"/>
<port protocol="tcp" port="10050-10051"/>
<accept/>
</rule>
<rule family="ipv4">
<source address="192.249.87.114"/> 放通指定ip，指定端口、协议
<port protocol="tcp" port="80"/>
<accept/>
</rule>
<rule family="ipv4"> 放通任意ip访问服务器的9527端口
<port protocol="tcp" port="9527"/>
<accept/>
</rule>
</zone>
上述的一个配置文件可以很好的看出：
1、添加需要的规则，开放通源ip为192.168.10.70，端口514，协议tcp；
2、开放通源ip为192.168.10.70，端口10050-10051，协议tcp；/3、开放通源ip为任意，端口9527，协议tcp；
每次修改完成后都要执行下面语句：
重新载入Firewall 使配置立即生效：
firewall-cmd --reload
三、firewall常用命令
1、重启、关闭、开启firewalld.service服务
service firewalld restart 重启
service firewalld start 开启
service firewalld stop 关闭
systemctl enable firewalld （允许Firewall开机启动，输入两次以确定。）
2、查看firewall服务状态
systemctl status firewall
3、查看firewall的状态
firewall-cmd --state
4、查看防火墙规则
查看Firewall 防火墙所有列表规则：
firewall-cmd --list-all
检查Firewall 防火墙的80/tcp 22/tcp 443/tcp端口是否开放
firewall-cmd --query-port=80/tcp
firewall-cmd --query-port=22/tcp
firewall-cmd --query-port=443/tcp
5、其它常用命令
设置开放Firewall 防火墙的特定端口，比如80/tcp
firewall-cmd --permanent --add-port=80/tcp
设置移除Firewall 防火墙已经开放的端口，比如80/tcp
firewall-cmd --permanent --remove-port=80/tcp
设置Firewall 防火墙为开机自启动
systemctl enable firewalld
设置Firewall 防火墙为开机禁用
systemctl disable firewalld
检查Firewall 防火墙服务是否已经被为开机自启动
systemctl is-enabled firewalld （.service 细分到子服务）
检查Firewall 防火墙已经设置为开机自启动的服务
systemctl list-unit-files|grep enabled
查看启动失败的服务
Systemctl --failed
查看Firewall 防火墙的版本
firewall-cmd --version
查看Firewall 防火墙的帮助
firewall-cmd --help
更新Firewall 防火墙的规则=>重载Firewall
firewall-cmd --reload
查看Firewall 防火墙的区域信息:
firewall-cmd --get-active-zones
查看指定接口所属区域
firewall-cmd --get-zone-of-interface=eth0
启动拒绝状态，拒绝所有包
firewall-cmd --panic-on
关闭拒绝状态
firewall-cmd --panic-off
查看是否启动拒绝
firewall-cmd --query-panic
永久开放80/tcp端口
firewall-cmd --zone=public --add-port=80/tcp --permanent
（–permanent永久生效，没有此参数重启后失效）
查看80/tcp端口的状态
firewall-cmd --zone=public --query-port=80/tcp
永久删除80/tcp端口
firewall-cmd --zone=public --remove-port=80/tcp –permanent
设置开放端口区间段
firewall-cmd --permanent --zone=public --add-port=8080-9999/tcp
（永久开放设置）
重新载入Firewall 使配置立即生效： firewall-cmd --reload
四、CentOS切换为iptables防火墙
切换到iptables首先应该关掉默认的firewalld，然后安装iptables服务。
1、关闭firewall：
service firewalld stop
systemctl disable firewalld.service #禁止firewall开机启动
2、安装iptables防火墙
yum install iptables-services #安装
3、编辑iptables防火墙配置
vi /etc/sysconfig/iptables #编辑防火墙配置文件
下边是一个完整的配置文件：
Firewall configuration written by system-config-firewall
Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
启动防火墙服务
service iptables start #开启
systemctl enable iptables.service #设置防火墙开机启动